Qualifying Observation Integrity for Selective Authorization in PostgreSQL

デジタル世界において、データベースは銀行口座からオンラインショッピングカートに至るまで、あらゆるものの中心的な記憶として機能しています。それらは、口座にいくらのお金があるか、在庫に何があるか、あるいはユーザーが建物に入る許可を持っているかといった、世界の現在の状態を保存しています。コンピュータプログラムがアクションを実行する許可をデータベースに求める際、データベースは現在の事実を確認します。もし、前回のチェックから事実が変化していた場合、答えが変わる可能性があります。例えば、ユーザーに十分な資金があれば購入は承認されますが、その直後に別の取引によってその資金が使われた場合、承認は取り消されるべきです。安全性を保つため、システムは多くの場合、アクションが行われるたびに毎回事実を再確認します。これは信頼できますが、同じ事実が変化せずに何度も繰り返しチェックされる場合、非常に遅くなることがあります。

研究者たちは、最後に事実がチェックされた時点を記憶しておくことで、このプロセスを高速化する方法を長年模索してきました。もしシステムが、基礎となるデータが変化していないことを証明できれば、再度問い合わせることなく、以前の許可を再利用できます。これは「選択的認可（selective authorization）」と呼ばれます。しかし、このショートカットは、データが本当に変化していないことをシステムが絶対的に確信できる場合にのみ機能します。もしシステムが、データが動いているにもかかわらず、データが安定していると騙されてしまった場合、ブロックされるべき取引に対して許可を与えてしまう可能性があります。核心となる課題は、単にデータをチェックすることではなく、変更を追跡するために設計された仕組み自体が正しく機能しており、かつ適切な人々に可視化されていることを検証することにあります。

アレクサンダル・ミハイロヴィッチという研究者が、PostgreSQLと呼ばれる特定の種類のデータベースシステムにおいて、これらの追跡メカニズムを検証する手法を開発しました。その目的は、データベースのインストールがこのショートカットを使用するための信頼を得るために従うべき、厳格な一連のルールを作成することでした。「OntoCommit」と名付けられたこのシステムは、門番として機能します。データベースが古い許可決定を再利用することを許可される前に、この門番はコードと設定を検査し、データのあらゆる変更が適切に記録されていること、そして記録をチェックする人物が実際にそれらの記録を見ることができることを確認します。研究は、変更が行われた瞬間と、それが観測された瞬間の間の境界に焦лоスしています。もしこの二つの間に隙間があれば、システム全体の安全性は損なわれます。

研究は、コードが表面上は正しく見えても、いかに容易にこの信頼が崩れ得るかを特定することから始まりました。研究者は、システムが静かに失敗する2つの特定の方法を見つけ出しました。最初のケースでは、変更カウンターを更新するために設計されたヘルパー関数において、入力の名前が入れ替わっていました。コードは依然として実行され、受け入れるデータの型も正しかったのですが、名前が混同されていたため、ある種の変更に対するカウンターは更新された一方で、別の種類のカウンターは止まったままになっていました。それはまるで、南北方向の車線のセンサーが誤って東西方向のボタンに接続されている交通信号システムのようで、ライトは変わりますが、それを必要としている車のためには機能しません。第二のケースでは、システムはあるセキュリティ機能によって、特定の行のデータを一般ユーザーから隠すように設定されていました。変更カウンターはシステム管理者によって正しく更新されましたが、許可をチェックする人物はその更新を見ることをブロックされていました。チェッカーにとって、カウンターは実際には増加しているにもかかわらず、ゼロであるように見えていました。これは偽りの安全感を生み出しました。

これらの失敗を防ぐために、研究者は、データベースのインストールがショートカットを使用する前にチェックを行う資格確認ツールを構築しました。このツールは、単にコードの存在を探すだけでなく、関数の正確なバインディング、テーブルの所有権、およびすべてのユーザーロールに対する可視性設定を検証します。それは、変更カウンターを更新する責任を持つコードが、システムが期待する正確なシグネチャと一致することを要求します。また、変更を追跡する特定のテーブルに対して行レベルセキュリティを使用することを禁止し、許可をチェックする人物が常にカウンターの真の状態を見ることができるようにします。このツールは厳格な検査官として機能し、サポートされていないバリエーションを使用しようとしたり、変化の証拠を隠したりするインストールを拒絶します。

研究者は、完全な購入プロセスをシミュレートした制御された環境を使用して、このアプローチをテストしました。システムは、ユーザーが何かを購入しようとするシナリオ（口座残高と、資金に対する既存の保留事項を確認する）を扱うように設定されました。実験では、2つの方法を比較しました。一つは、システムが毎回ポリシー全体をゼロから再評価する方法であり、もう一つは、選択的認可のショートカットを使用する方法です。テストは標準的なバージョンのデータベースソフトウェア上で実行されましたが、条件を正確に制御するためにシミュレートされたコンピュータ環境内で行われました。研究には、108組の異なる構成ペアが含まれており、中には安全に設計されたものも、安全ではない設計されたものも含まれており、資格確認ツールがその違いを判別できるかを確認しました。

結果は、資格確認ツールが不安全な構成を特定する上で非常に効果的であることを示しました。名前の入れ替えや隠されたデータ行を含む、意図的に不安全にされた5つのセットアップすべてを、ツールは正常に拒絶しました。同時に、48個の有効で安全な構成はすべて受け入れられました。また、安全ではあるもののツールの厳格なルールに適合しない2つの構成を正しく拒絶したことは、ツールが利便性よりも安全性を優先していることを実証しました。パフォーマンステストでは、データが変化していない場合、選択的認可メソッドは大幅に高速であることが証明されました。1万行のデータセットに対して、ショートカットを使用するシステムは中央値66ミリ秒でサイクルを完了しましたが、すべてを再チェックするシステムは87ミリ秒かかりました。これは24%の時間短縮に相当します。しかし、研究では、データが実際に変化した場合、ショートカットは速度の優位性はなく、システムがポリシーを再評価する必要があるため、わずかに遅くなる可能性があることも分かりました。

また、本研究はテストの限界についても強調しました。研究者は、システムが動作するかどうかを確認するために単にいくつかのテストを実行することは、それが常に動作することを保証するには不十分であることを示しました。システムがすべてのテストに合格しながらも、特定の目に見えない条件下で失敗するシナリオを構築することは可能です。研究は、システムが一連のチェックに合格しながらも、観察者から重要な変更を隠し続けることができることを示しました。これは、安全性を確保する唯一の方法は、エラーを見つけるためにテストだけに頼るのではなく、システムがどのように構築されるかについての厳格なルールを強制することであるということを意味します。このツールは、システムがあらゆる可能性のある宇宙において完璧であることを証明すると主張しているのではなく、そのインストールが特定の安全なパターンに従っているという検証可能な契約を提供しているのです。

結局のところ、この研究は、セキュリティを犠牲にすることなくデータベースを高速化するための実用的な方法を提供しています。変更の追跡がどのように実装され、検証されるべきかについての明確なルールを定義することで、研究者はデータベースが自身の状態について真実を述べていると信頼できる方法を作り上げました。この研究は、データベースセキュリティにおけるあらゆる問題を解決すると主張しているわけでも、この方法をあらゆる状況で使用すべきだと提案しているわけでもありません。これは、柔軟性と引き換えに高い確実性を得る、特定のタイプのデータベース設定のための特化したソリューションです。研究結果は、金融取引のようなスピードと安全性の両方が極めて重要となるアプリケーションにおいて、適切に資格確認されたシステムが信頼できるショートカットを提供できることを示唆しています。研究の結論は、これらのショートカットの安全性は、変更が行われた瞬間からそれが観測される瞬間までの観測経路の完全性に完全に依存しており、この経路はデータそのものと同じ厳格さでチェックされなければならないということです。